KI & Sicherheit

Kundenkommunikation

Wie KI-Nutzung gegenüber Kunden ruhig, konkret und ohne überzogene Versprechen eingeordnet werden kann.

Stand: 2026-06-05

Kurzfassung

  • KI-Nutzung gegenüber Kunden ruhig erklären, nicht verstecken und nicht übertreiben.
  • Vor Projektstart klären, ob und in welchem Umfang KI genutzt werden darf.
  • Wenn KI vollständig ausgeschlossen wird, kann das Auswirkungen auf Aufwand, Geschwindigkeit und Preis haben.
  • Sensible Daten, Secrets und Produktionsdaten sind ohne explizite Freigabe tabu.
  • Nur zusagen, was technisch und organisatorisch kontrolliert wird.
  • Keine KI muss konkretisiert werden: Cloud, lokal, Code, Doku, Review, Projektmanagement, externe Mitarbeitende.
  • Bei Verdacht erst technisch eingrenzen, dann faktenbasiert und abgestimmt kommunizieren.

Grundsatz

KI ist heute ein normales Thema in der Softwareentwicklung. Deshalb sollte KI-Nutzung nicht versteckt, aber auch nicht als Hype verkauft werden.

KI-Nutzung gegenüber Kunden ruhig erklären, nicht verstecken und nichts versprechen, was wir nicht kontrollieren.

Die Verantwortung bleibt immer beim Entwicklerteam.

Gespräch vor Projektstart

Vor Projektstart sollte geklärt werden:

  • Darf KI grundsätzlich unterstützend genutzt werden?
  • Dürfen KI-Tools Projektcode sehen?
  • Dürfen KI-Tools Kundendaten sehen?
  • Sind nur lokale KI-Tools erlaubt?
  • Sind Cloud-KI-Tools erlaubt?
  • Gibt es Bereiche, in denen KI ausgeschlossen ist?
  • Gilt die Regel auch für externe Mitarbeitende?

Mögliche Formulierung:

Wir klären zu Projektbeginn, ob und in welchem Umfang KI-gestützte Entwicklerwerkzeuge eingesetzt werden dürfen. Falls der Einsatz vollständig ausgeschlossen wird, berücksichtigen wir den höheren manuellen Aufwand in Planung und Aufwandsschätzung.

Allgemeiner Kundenhinweis

Mögliche ruhige Standardformulierung:

Wir nutzen KI-gestützte Werkzeuge punktuell als Unterstützung in Entwicklung, Analyse und Dokumentation. Die fachliche und technische Verantwortung bleibt immer bei unserem Entwicklerteam. Sensible Daten, Zugangsdaten und produktive Kundendaten werden nicht ungeprüft in KI-Systeme eingebracht.

Tabu ohne Freigabe

Ohne explizite Freigabe des Kunden oder klare vertragliche Grundlage sind tabu:

  • echte Zugangsdaten und Secrets,
  • Produktionsdaten,
  • personenbezogene Daten,
  • Kundendatenbanken und Dumps,
  • vertrauliche Kundendokumente,
  • Verträge,
  • Preise und Angebote,
  • Sicherheitsvorfälle,
  • sensible Geschäftslogik,
  • interne technische Infrastrukturdetails.

Zulässige Zusagen

Sinnvolle Zusagen:

  • KI ersetzt keine menschliche Verantwortung.
  • Code wird reviewed.
  • sensible Daten werden nicht ungeprüft in KI-Tools eingebracht.
  • Tools werden nach internem Sicherheitsstandard genutzt.
  • bei sensiblen Bereichen gibt es zusätzliche Prüfung.
  • auf Wunsch kann KI-Nutzung eingeschränkt oder ausgeschlossen werden.

Gefährliche Zusagen:

  • Es geht nie etwas an externe Anbieter.
  • KI sieht niemals Kundencode.
  • Unsere KI-Nutzung ist vollständig risikofrei.
  • Lokale LLMs sind automatisch sicher.
  • Alle Anbieter sind geprüft.
  • KI-Code ist immer getestet.

Regel:

Nur zusagen, was technisch und organisatorisch kontrolliert wird.

Wenn der Kunde KI verbietet

Ein pauschales keine KI ist zu ungenau.

Klärungsfragen:

  • Verboten nur Cloud-KI?
  • Auch lokale LLMs verboten?
  • Darf KI allgemeine technische Fragen beantworten?
  • Darf KI ohne Projektcode für Formulierungen oder Dokumentation genutzt werden?
  • Darf KI Code erklären, wenn kein Kundencode übertragen wird?
  • Darf KI für Timelogs, interne Planung oder allgemeine Konzepte genutzt werden?
  • Darf KI bei Tests oder Review unterstützen?
  • Gilt das Verbot auch für externe Mitarbeitende?

Wenn KI vollständig ausgeschlossen wird:

  • Projekt als KI ausgeschlossen markieren,
  • Aufwand und Zeitplan anpassen,
  • externe Mitarbeitende informieren,
  • keine Projektdateien, kein Projektcode und keine Kundendaten in KI,
  • keine KI-Review-Unterstützung mit Projektkontext,
  • kein Agentenzugriff auf Projektordner.

Incident-Kommunikation

Bei Verdacht oder Vorfall wird nicht vorschnell kommuniziert und nicht vertuscht.

Vorgehen:

  • zuerst technisch eingrenzen,
  • Fakten sammeln,
  • Projektleitung entscheidet Kommunikation mit technischem Lead,
  • Datenschutz/Security einbeziehen, wenn Daten betroffen sind,
  • Kunde faktenbasiert informieren, wenn Kundendaten, Produktion oder vertragliche Pflichten betroffen sind,
  • keine Spekulation,
  • konkrete Maßnahmen nennen.

P0-No-Gos

  • Keine KI-Nutzung mit sensiblen Kundendaten ohne Freigabe.
  • Keine Sicherheitsversprechen ohne technische oder organisatorische Kontrolle.
  • Keine Aussage KI ist sicher, nur weil ein großer Anbieter beteiligt ist.
  • Keine pauschale Aussage wir nutzen keine KI, wenn lokale oder indirekte KI-Nutzung trotzdem stattfindet.
  • Kein Ignorieren eines Kundenwunsches zu KI-Nutzung.
  • Keine KI-Nutzung durch externe Mitarbeitende außerhalb der geklärten Regeln.
  • Keine vorschnelle Kundenkommunikation bei Verdacht ohne Faktenlage.
  • Kein Verschweigen, wenn Kundendaten, Produktion oder vertragliche Pflichten realistisch betroffen sind.

Mindeststandard

Für Kundenkommunikation zu KI gilt mindestens:

  • KI-Nutzung vor Projektstart kurz klären,
  • erlaubte und verbotene KI-Nutzung dokumentieren,
  • Kundendaten und Secrets ohne Freigabe ausschließen,
  • KI-Verbot konkretisieren,
  • Aufwandseffekt bei vollständigem KI-Ausschluss benennen,
  • externe Mitarbeitende einbeziehen,
  • keine unkontrollierbaren Sicherheitszusagen machen,
  • Incident-Kommunikation technisch und organisatorisch abstimmen.

Teamentscheidung

Kunden sollen ruhig und proaktiv informiert werden, dass KI als unterstützendes Entwicklerwerkzeug genutzt werden kann.

Vor Projektstart wird geklärt, ob und in welchem Umfang KI erlaubt ist.

Wenn ein Kunde KI vollständig ausschließt, wird das respektiert, aber Aufwand, Geschwindigkeit und Preis können sich ändern.

Sensible Daten, Secrets und Produktionsdaten bleiben ohne explizite Freigabe tabu.

Nur kontrollierbare Zusagen werden gegenüber Kunden gemacht.

Ein KI-Verbot wird konkretisiert und nicht pauschal interpretiert.

Bei Verdacht wird erst technisch eingegrenzt und danach faktenbasiert abgestimmt kommuniziert.

Wandregeln

KI-Nutzung ruhig erklären, nicht verstecken.

Nur zusagen, was wir kontrollieren.

Keine Kundendaten in KI ohne Freigabe.

Keine KI muss konkret definiert werden.

Erst Fakten klären, dann Kunden informieren.

Offene Teamfragen

  • Wo wird je Projekt dokumentiert, ob KI erlaubt ist?
  • Welche Standardformulierung kommt in Angebote oder Projektstarts?
  • Wer klärt KI-Nutzung mit dem Kunden ab?
  • Wie wird KI ausgeschlossen im Projekt sichtbar gemacht?
  • Wer entscheidet Kundenkommunikation bei Verdacht?
  • Welche Kunden verlangen besondere Datenschutz- oder KI-Regeln?